Badan keamanan siber Amerika Serikat, Cybersecurity and Infrastructure Security Agency (CISA), memperingatkan lembaga-lembaga federal untuk segera memperbarui Google Chrome mereka. Peringatan ini muncul setelah ditemukannya celah keamanan serius dengan kode CVE-2025-4664 yang sudah diperbaiki oleh Google namun kini diketahui sedang dimanfaatkan oleh penjahat siber.
Celah ini ditemukan oleh peneliti dari Solidlab, Vsevolod Kokorin. Ia menjelaskan bahwa masalah ini terjadi karena lemahnya pengaturan kebijakan pada bagian Loader di Google Chrome. Dengan memanfaatkan kelemahan ini, penyerang jarak jauh bisa mencuri data dari situs lain melalui halaman HTML berbahaya.
Celah ini memungkinkan penyerang mencuri informasi sensitif yang biasanya ada di query parameters, seperti dalam proses login menggunakan OAuth. Data tersebut bisa digunakan untuk mengambil alih akun seseorang. Sayangnya, para pengembang web seringkali tidak menyadari risiko pengambilan data melalui gambar dari sumber pihak ketiga.
Google sendiri telah merilis pembaruan keamanan pada hari Rabu untuk menutup celah ini. Namun, sehari setelahnya, CISA mengonfirmasi bahwa celah ini sedang benar-benar digunakan dalam serangan dunia maya. Oleh karena itu, celah ini langsung dimasukkan ke dalam katalog Known Exploited Vulnerabilities, yaitu daftar celah keamanan yang sedang disalahgunakan secara aktif.
CISA menetapkan batas waktu bagi lembaga-lembaga federal di AS untuk melakukan pembaruan sebelum 7 Mei 2025. Meski kewajiban ini hanya berlaku untuk lembaga pemerintah, CISA menyarankan semua pihak, termasuk pengguna biasa dan perusahaan, untuk segera memperbarui Chrome mereka.
Celah ini merupakan yang kedua kalinya pada tahun 2025 di mana Google harus memperbaiki serangan zero-day di Chrome. Sebelumnya, pada awal tahun, celah CVE-2025-2783 juga dieksploitasi oleh peretas untuk menyerang institusi pemerintah dan media di Rusia.